Hầu hết các bạn đều biết Lừa đảo, nơi một quá trình gian lận được bắt đầu với mục đích có được thông tin nhạy cảm như mật khẩu và chi tiết thẻ tín dụng, bằng cách tự giới thiệu mình như một thực thể hợp pháp. Nhưng điều gì sẽ xảy ra nếu bạn đang ở trên trang hợp pháp và trang bạn đang tìm kiếm, những thay đổi đối với một trang lừa đảo, khi bạn truy cập một tab khác? Cái này được gọi là Tabnabbing!
Cách hoạt động của Tabnabbing
- Bạn điều hướng đến một trang web chính hãng.
- Bạn mở một tab khác và duyệt trang khác.
- Sau một thời gian bạn quay trở lại tab đầu tiên.
- Bạn được chào đón với các chi tiết đăng nhập mới, có thể vào tài khoản Gmail của bạn.
- Bạn đăng nhập một lần nữa không nghi ngờ rằng trang, bao gồm cả các favicon, đã thực sự thay đổi sau lưng của bạn!
Điều này tất cả có thể được thực hiện chỉ với một chút JavaScript diễn ra ngay lập tức. Khi người dùng quét nhiều tab đang mở của họ, favicon và tiêu đề hoạt động như một tín hiệu trực quan mạnh mẽ - bộ nhớ dễ uốn và có thể tạo khuôn và người dùng rất có thể sẽ chỉ nghĩ rằng họ đã mở tab Gmail. Khi họ nhấp lại vào tab Gmail giả, họ sẽ thấy trang đăng nhập Gmail chuẩn, giả sử họ đã đăng xuất và cung cấp thông tin đăng nhập của họ để đăng nhập.
Các cuộc tấn công preys trên nhận thức bất biến của các tab. Sau khi người dùng nhập thông tin đăng nhập của họ và bạn đã gửi lại cho máy chủ của mình, bạn chuyển hướng họ tới Gmail. Bởi vì họ chưa bao giờ đăng xuất ở vị trí đầu tiên, nó sẽ xuất hiện như thể đăng nhập thành công.
Bạn truy cập một trang web, bạn chuyển sang một tab khác, và sau lưng, trang đầu tiên của bạn sẽ thay đổi!
Đảo ngược tabnabbing
Đảo ngược Tabnabbing xảy ra kẻ tấn công sử dụng window.opener.location.assign () để thay thế tab nền bằng tài liệu độc hại. Tất nhiên, hành động này cũng thay đổi thanh địa chỉ của tab nền, nhưng kẻ tấn công hy vọng rằng nạn nhân sẽ ít chú ý hơn và sẽ mù quáng nhập mật khẩu hoặc thông tin nhạy cảm khác của họ khi quay lại tác vụ nền, Google nói.
Một lối thoát sẽ là nếu tất cả chủ sở hữu trang web đều sử dụng thẻ sau:
target='_blank' rel='noopener noreferrer'
Để ngăn chặn lỗ hổng này khỏi bị khai thác, WordPress đã bắt đầu thêm các thẻ noopfer noreferrer tự động ngay bây giờ.
Bây giờ hãy xem Spear Phishing, Whaling, và Vishing và Smishing scams.
